使用Codebuild时的S3策略

问题描述

首先，对不起我的英语。我正在使用CodeBuild开发CodepPipeline，以将React应用程序部署到S3。在测试环境中可以，但是当我在暂存环境中部署它时，出现“访问被拒绝”错误：

调用PutObject操作时发生错误（AccessDenied）：访问被拒绝

之所以发生这种情况，是因为在暂存环境中，S3 Bucket已经有了一些策略。它是这样的：

{
    "Version": "2008-10-17","Id": "PolicyForCloudFrontPrivateContent","Statement": [
        {
            "Sid": "1","Effect": "Allow","Principal": {
                "AWS": "arn:aws:iam::cloudfront:user/CloudFront ABC"
            },"Action": "s3:Getobject","Resource": "arn:aws:s3:::s3staging/*"
        },{
            "Sid": "IPAllow","Effect": "Deny","Principal": {
                "AWS": "*"
            },"Action": "s3:*","Resource": "arn:aws:s3:::s3staging/*","Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": [
                        "11.11.1.11/11" *VPN Address
                         .... Another Ip range (s)
                    ]
                }
            }
        }
    ]
}

我知道它仅允许来自CloudFront的请求并从VPN地址进行部署。但是现在我需要从CodeBuild部署它。因此，在不修改现有策略的情况下，我试图通过在aws：SourceIp中从我所在的区域添加代码构建的IP：13.112.191.184/29来修复它，希望它允许代码构建在S3上删除和创建文件。不幸的是，它不起作用。

我尝试了很多方法，例如允许CodeBuild的serviceRole的ARN，但它也不起作用。

{
  "Sid": "Stmt1599214911530","Resource": "arn:aws:s3:::s3test-resopa-pwa/*","Principal": {
    "AWS": [
      "arn:aws:iam::123456:role/service-role/AWSCodePipelineserviceRole-ap-northeast-1-staging"
    ]
  }
}

有经验的人可以在这个问题上帮助我吗？如果能给我一些建议，我将不胜感激。非常感谢。

解决方法

解决了。

"Condition": {
     "ArnNotEquals": {
          "aws:PrincipalArn": "arn:aws:iam::codebuild-role"
      },"NotIpAddress": {
           "aws:SourceIp": [
                 "153.156.28.29/32",... Others IP Range